Règles pour une intelligence artificielle digne de confiance dans l’Union européenne

POINTS CLÉS

Qu’est-ce qu’un système d’IA?

Un système d’IA est un système automatisé conçu pour fonctionner avec un certain niveau d’autonomie pouvant:

• s’adapter après son déploiement; et
• générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions à partir des entrées qu’il a reçues (pour atteindre des objectifs explicites ou implicites).

Une approche fondée sur les risques

La législation suit une approche fondée sur les risques, ce qui signifie que plus le risque de nuire à la société est élevé, plus les règles sont strictes. Le règlement définit l’utilisation de l’IA dans les domaines suivants comme étant à haut risque, en raison de l’impact potentiel sur les droits fondamentaux, la sécurité et le bien-être:

• les composants de sécurité dans les produits relevant de la législation d’harmonisation de l’UE (ou en tant que produits autonomes) qui sont soumis à une évaluation de la conformité par un tiers selon la même législation d’harmonisation de l’UE;
• la biométrie, lorsqu’elle est utilisée pour l’identification à distance, la catégorisation des personnes en fonction d’attributs sensibles (comme la race ou la religion), ou la reconnaissance des émotions, sauf lorsqu’elle est utilisée pour vérifier simplement l’identité;
• les infrastructures critiques, lorsque l’IA est un composant de sécurité dans des domaines tels que les infrastructures numériques, le trafic, l’eau, le gaz, le chauffage et l’électricité;
• l’éducation et la formation professionnelle, y compris l’accès aux questions d’éducation, l’évaluation des acquis d’apprentissage, l’évaluation des niveaux d’enseignement ou la surveillance du comportement durant les examens;
• l’emploi, y compris le recrutement, la sélection des candidats, la prise de décisions en matière d’emploi (promotions, licenciements), l’attribution des tâches ou le suivi des performances;
• les services essentiels — les systèmes d’IA utilisés par les autorités publiques pour évaluer l’admissibilité aux services publics (soins de santé, prestations), la note de crédit et les risques d’assurance, et hiérarchiser les interventions d’urgence;
• la répression — les systèmes d’IA utilisés pour l’évaluation des risques en matière de criminalité, les polygraphes, l’évaluation de la fiabilité des preuves, la prévision du risque de récidive ou le profilage des individus dans le cadre d’enquêtes pénales;
• la migration et le contrôle des frontières — les systèmes d’IA utilisés pour évaluer les risques liés à la migration, à l’asile et aux demandes de visa, ou pour détecter et identifier les personnes dans des contextes migratoires;
• l’administration de la justice et les processus démocratiques — les systèmes d’IA utilisés par les autorités judiciaires pour la recherche et l’interprétation juridiques ou les systèmes qui pourraient influencer les résultats des élections.

Le règlement interdit les pratiques d’IA suivantes présentant un niveau de risque inacceptable

• Des techniques subliminales ou trompeuses de manipulation des comportements individuels ou des comportements de groupe, portant atteinte à leur capacité à prendre des décisions en connaissance de cause et susceptibles de causer un préjudice.
• L’exploitation des vulnérabilités fondées sur l’âge, un handicap ou des situations socio-économiques pour manipuler des personnes ou des groupes, menant à un potentiel préjudice.
• La notation sociale, l’évaluation ou la classification des personnes sur la base de leur comportement ou de leurs caractéristiques, entraînant un traitement injuste sans rapport avec le contexte dans lequel les données ont été collectées ou de manière disproportionnée par rapport à la gravité du comportement
• L’évaluation du risque pénal, la prévision de la probabilité de commettre un crime en se basant uniquement sur le profilage ou les traits de personnalité, sauf dans le cadre d’enquêtes pénales objectives fondées sur les faits.
• La reconnaissance faciale par le moissonnage de bases de données provenant de l’internet ou des caméras de sécurité sans ciblage spécifique.
• L’inférence sur les émotions dans des domaines sensibles tels que les lieux de travail ou les établissements d’enseignement, sauf s’ils sont utilisés à des fins médicales ou de sécurité.
• La catégorisation biométrique fondée sur des données pour arriver à des inférences concernant des attributs sensibles tels que la race, la religion ou les opinions politiques, à l’exception de l’utilisation légale dans le domaine répressif.
• L’identification biométrique en temps réel en public à des fins répressives, sauf si elle est strictement nécessaire pour certaines situations particulières (par exemple la recherche de personnes disparues, la prévention de menaces imminentes ou l’identification des suspects de crimes graves). Elle doit respecter des procédures juridiques strictes, y compris une autorisation préalable, une portée limitée et des garanties pour protéger les droits et les libertés.

Le règlement introduit des obligations d’information lorsqu’un risque pourrait résulter d’un manque de transparence autour de l’utilisation de l’IA:

• l’IA conçue pour usurper l’identité d’êtres humains (par exemple un dialogueur) doit en informer l’humain avec qui elle interagit;
• la production d’IA générative doit être marquée comme générée par l’IA de manière lisible par la machine;
• dans certains cas, la production d’IA générative doit être visiblement étiquetée, à savoir les hypertrucages et le texte destinés à informer le public des questions d’intérêt public.

Tous les autres systèmes d’IA sont réputés à risque limité, et le règlement n’introduit donc pas de nouvelles règles.

Utilisation digne de confiance de grands modèles d’IA

• Les modèles d’IA à usage général sont des modèles d’IA qui sont formés sur de grandes quantités de données et qui peuvent exécuter un large éventail de tâches. Il peut s’agir de composants de systèmes d’IA.
• Le règlement introduit des obligations de transparence pour les fournisseurs de tels modèles d’IA à usage général, à savoir la documentation technique, la fourniture d’informations aux développeurs en aval des systèmes d’IA et la divulgation des données utilisées pour la formation du modèle.
• Les modèles d’IA à usage général les plus puissants peuvent poser des risques systémiques. Si un modèle répond à un certain seuil de capacité, le fournisseur de ce modèle doit remplir des obligations supplémentaires en matière de gestion des risques et de cybersécurité.

Gouvernance

• Le règlement met en place plusieurs organes directeurs actifs à partir du 2 août 2025:
  • les autorités nationales compétentes qui superviseront et appliqueront les règles relatives aux systèmes d’IA;
  • un Bureau de l’IA au sein de la Commission européenne qui coordonnera l’application cohérente des règles communes dans toute l’UE et agira en tant que régulateur pour les modèles d’IA à usage général.
• Les États membres de l’UE et le Bureau de l’IA coopéreront étroitement au sein d’un Comité IA composé de représentants des États membres afin de garantir la mise en œuvre cohérente et efficace du règlement.
• Le règlement met en place deux organes consultatifs pour le Bureau de l’IA et le Comité IA:
  • un groupe scientifique composé d’experts indépendants qui fournissent des conseils scientifiques;
  • un forum consultatif pour les parties prenantes afin de fournir une expertise technique au Comité IA et à la Commission.

Sanctions

Les amendes pour infractions sont fixées en pourcentage du chiffre d’affaires annuel de l’entreprise incriminée ou d’un montant prédéterminé, le plus élevé étant retenu. Les petites et moyennes entreprises et les jeunes pousses font l’objet d’amendes administratives proportionnelles.

Transparence et protection des droits fondamentaux

L’amélioration de la transparence s’applique au développement et à l’utilisation de systèmes d’IA à haut risque:

• avant qu’un système d’IA à haut risque ne soit déployé par des entités fournissant des services publics, son impact sur les droits fondamentaux doit être évalué;
• les systèmes d’IA à haut risque et les entités qui les utilisent doivent être enregistrés dans une base de données de l’UE.

Innovation

Le règlement prévoit un cadre juridique propice à l’innovation et vise à promouvoir l’apprentissage réglementaire fondé sur des données probantes. Il prévoit des bacs à sable réglementaires de l’IA, dans lesquels des systèmes d’IA innovants peuvent être développés, testés et validés, y compris dans des conditions réelles. Par ailleurs, le règlement permet des essais réels sous certaines conditions des systèmes d’IA à haut risque.

Évaluation et réexamen

La Commission évalue la nécessité de modifier la liste des utilisations à haut risque de l’IA et la liste des pratiques interdites chaque année. Au plus tard le 2 août 2028, et tous les quatre ans par la suite, la Commission évaluera et présentera un rapport sur les points suivants:

• l’ajout ou l’extension de la liste des catégories à haut risque;
• les modifications de la liste des systèmes d’IA nécessitant des mesures de transparence supplémentaires;
• les modifications destinées à améliorer la surveillance et la gouvernance.